安全分级评估：修复优先级

可视化演示

演示按漏洞严重程度进行安全分级评估，依次判定严重、高危、中危与低危等级，并据此确定修复优先级与整体风险评分。

优先级内涵

分诊护士的第一课，是学会区分“伤得重”和“该先救”。胸口中刀的患者伤得重；但一个手腕划伤、却因糖尿病而意识模糊的患者，可能更该先进抢救室——因为他的身体没有余量。AI 安全团队也一样。评测报告里有成百上千条问题，每一条都有自己的“伤情”。“修复优先级”要回答的不是“谁最严重”，而是“谁最该先修”。

在 AI 评测与基准测试中，修复优先级是一套把“问题清单”转成“行动顺序”的决策规则。它不等同于漏洞严重等级，而是把严重程度（破坏力）、被利用的可能性和资产价值综合起来，映射成一个可排序的分数。一句话：优先级是一个合成指标，不是单一属性。它在评测阶段就要确定评估时机——通常在上线前全面评测、重大变更后回归评测时各做一次；随后进入“发现—分级—修复—复测—关闭”的生命周期循环。

因此它的数学形式是一个“复合函数”——把三个维度的观察值喂进去，吐出一个统一分数：

急诊室从来没有人问“伤员序号是多少”，只问“危重指数是多少”。修复优先级就是给每个安全问题贴上的那枚危重指数——它决定了你今晚要不要爬起来开电脑。

风险评估维度

护士评估伤员不只盯着伤口：她先看伤口深度（破坏力），再默默判断“这个伤会不会迅速恶化”（可能性），最后问一句“这个人是什么身份、有没有基础病”（资产价值）。三个信息在几秒钟内合并成一个判断：留观、处置还是抢救。

优先级计算的起点，是给“风险”定标。AI 安全评测中最经典的风险模型是二维乘积：风险 = 破坏力 × 可能性。破坏力回答“打中的话有多痛”，可能性回答“被打中的概率有多高”。这两个值只要有一个接近 0，风险就趋近于 0——就像一把伤害 100 的狙击枪被锁在无人能找到的仓库里，也构不成威胁。此外，可能性本身由“暴露程度”与“利用难度”共同决定：暴露在公网、无需账号就能触达的接口，被利用的可能性远高于藏在内网的功能。

护士的“风险”判断从来不是单看刀口，而是“刀口 × 会不会喷血 × 这人扛不扛得住”。三个数字一乘，危重指数就出来了。

分级评估方法

急诊室墙上挂着一张色卡，对应四种手环：黑色濒危、红色危重、黄色平稳、绿色轻伤。护士不需要记住每位伤员的精确心跳，只要对表分级。安全团队同样需要一张“色卡”，把连续的风险值切成离散的等级，才能排班、派单、写周报。

业界最广为人知的是 CVSS 通用漏洞评分系统：把漏洞打 0-10 分，映射到低、中、高、严重四级；而在 AI 安全评测中，更常用的是风险矩阵——把破坏力和可能性各自粗分成 1-5 五档，相乘得到 1-25 的格子，再按阈值切出 P0 到 P3。此外也有团队直接用加权综合打分得出连续值，再落到同一套离散等级上，这属于方法的选择问题，不影响分级思想。

分级规则：$R \ge 15$ → P0 立即修复；$9 \le R \le 14$ → P1 尽快修复；$4 \le R \le 8$ → P2 计划修复；$1 \le R \le 3$ → P3 观察。

有了这张色卡，两个安全工程师对同一个问题也能给出几乎一致的分诊结论——因为规则透明，每个人都按同一张表说话。

算法与性能

如果急诊室一次来了一百个伤员，护士长不会再手工一个个看，而是让分诊台用统一评分表快速扫一遍（线性打分），再把危重指数从高到低排个序（排序），最后按顺序呼叫各科室。流程固定下来，效率就上来了。

AI 评测流水线常见规模是每条提示词生成多条安全断言，一轮评测下来容易产出数千条问题记录。对每条记录算分需要固定几步：归一化各维度、加权求和、映射到等级。整个过程要快，因为评测可能每天跑好几轮。批量处理也是关键——把同一根因的问题先聚类再打分，能避免一万条相似告警把排序结果淹没。

加权求和公式是给每条问题打分的标准做法，权重表达“团队在意什么”：

其中 $s_1, s_2, s_3$ 分别是归一化后的破坏力、可能性和资产价值（取值 0-1）。打分阶段是 O(n) 一次遍历；排序阶段用堆排序或快速排序，复杂度 O(n log n)；合计仍为 O(n log n)。在十万条问题量级下也是秒级完成。

再大的急诊室也能靠一张评分表维持秩序——因为算法是确定的，抢救顺序不会因为“谁嗓门大”而改变。

优化调整策略

护士贴完手环绝不意味着下班。凌晨两点，黄手环患者的血压突然掉了，护士立刻摘掉黄手环换上红手环，把抢救顺序往前挪。分诊是循环，不是一次性动作。

修复优先级同样需要动态调整。AI 系统的威胁环境变化极快：某个漏洞原本被判定 P2，一周后攻击者把利用脚本公开到 GitHub，它一夜之间就该升到 P0。“带伤越久越危险”是最朴素的动态原则，用时间老化项建模最直接。除了时限驱动，还有两类常用优化：成本效益排序——修复代价低但降险显著的优先；反馈闭环——复测通过后降级、复现失败后回调，让标签始终反映现状而不只是历史结论。

其中 $t_0$ 为问题发现时刻，$\alpha$ 为老化系数，例如每天 0.3 分。

分诊最忌“一贴了之”——真正的急救室，标签永远可以被更有经验的医生推翻。优先级系统也一样，要靠复查节奏保持判断的鲜活。

实战应用

把整套分诊流程搬进一次真实的 AI 安全评测。某大模型公司上线前做红队演练，产出了 200 条问题记录——它们像急诊室门口的一排伤员，各有各的伤口。

落地时通常跑五步：清洗去重（同一根因聚成一条）、计算基础分、叠加业务上下文、定级派单、修复后回归。整个过程要集成到工具链里：评测框架输出原始报告，优先级引擎自动分级并写入工单系统，CI 门禁按 P0/P1 是否清零决定能否发版，安全工程师与研发团队按标签排期协作。真实的优先级公式往往比教科书多一个“业务上下文”项，因为同样一个漏洞，在公共客服入口和内部测试环境里，紧急程度天差地别。

案例里，红队报告的 200 条问题最终只有两条 P0：一条是“提示词注入可越权读取他人对话”（Base 9、Exposure 8、Business 9），当晚修复；另一条“响应速度慢”（Base 3、Exposure 9、Business 2），只列入 P3 下周优化。当急救室秩序井然时，每个伤员都能在最合适的时间得到治疗——当修复优先级跑顺了，AI 系统的每个问题也都能在最正确的时间被修掉。

AI 应用场景

Python 演示

class SafetyIssue:    """一个待评估的 AI 安全问题"""    def __init__(self, name, severity, likelihood, asset_value):        self.name = name        self.severity = severity        # 0-10 破坏力        self.likelihood = likelihood    # 0-1 被利用可能性        self.asset_value = asset_value  # 1-5 资产价值     def risk_score(self):        return round(self.severity * self.likelihood * self.asset_value / 5 * 10, 1)  class TriageSystem:    """急诊式分诊系统：算分 -> 分级 -> 排序"""    def __init__(self, weights=None):        self.weights = weights or {"severity": 0.5, "likelihood": 0.3, "asset": 0.2}     def evaluate(self, issue):        raw = (issue.severity / 10 * self.weights["severity"]               + issue.likelihood * self.weights["likelihood"]               + (issue.asset_value / 5) * self.weights["asset"])        score = round(raw * 10, 1)        if score >= 8:            return "P0 紧急", score        if score >= 6:            return "P1 高", score        if score >= 4:            return "P2 中", score        return "P3 低", score     def triage_all(self, issue_list):        result = []        for issue in issue_list:            level, score = self.evaluate(issue)            result.append((level, score, issue.name))        result.sort(key=lambda row: row[1], reverse=True)        return result  if __name__ == "__main__":    issues = [        SafetyIssue("提示词注入绕过内容审核", 9, 0.8, 5),        SafetyIssue("越权读取对话记录", 8, 0.6, 4),        SafetyIssue("模型输出不当内容", 6, 0.5, 2),        SafetyIssue("日志泄露内部提示词", 4, 0.4, 3),        SafetyIssue("响应延迟过高", 2, 0.9, 1),    ]    for level, score, name in TriageSystem().triage_all(issues):        print(level, score, name)

1. class SafetyIssue:定义问题实体，类似急诊室里的一位伤员，携带伤势、发病风险和身份三个属性。
2. def risk_score(self):用乘法的朴素风险值做快速初筛，对应正文的 Risk = I × L。
3. class TriageSystem:分诊系统本体，对应“评分表 + 分级色卡 + 排序队列”三位一体。
4. self.weights = weights or {...}权重就是分诊表的重心，没给就用默认的 0.5/0.3/0.2。
5. raw = (issue.severity / 10 * ...)三个维度先归一化到 0-1，再分别乘权重，最后相加。
6. if score >= 8: return "P0 紧急", score阈值切分，对应正文的 P0-P3 四档映射。
7. result.sort(key=lambda row: row[1], reverse=True)按分数降序排序，护士决定先救谁。
8. if __name__ == "__main__":直接运行即可看到 5 个问题的分诊结果，输出顺序就是修复排期。

常见误区

面试题